ZIP ファイルを展開した直後に Windows セキュリティが「Trojan:Script/Sabsik.FL.A!ml」を検出・隔離し、ごみ箱を開くだけで再度“重大”と警告された――そんな状況は誰でも不安になるものです。この記事では「本当に駆除できたか」「追加で何をすべきか」という疑問に、企業の SOC（Security Operation Center）業務で培った知見を交えながら網羅的に解説します。Windows Defender (旧称 Windows セキュリティ) での標準対処に加え、復旧の二重確認と再発防止策まで具体的な操作手順を示すので、同じ警告が出続ける場合や完全削除に自信が持てない場合の指針としてご活用ください。
1. Trojan:Script/Sabsik.FL.A!ml とは
Microsoft が「Trojan:Script/Sabsik」ファミリーとして分類するマルウェアは、JavaScript / VBScript / PowerShell などのスクリプトに紛れ込むタイプが多く、広告クリック詐欺（Adware）やクラックツールに混入するケースが顕著です。特徴は次のとおりです。
- 感染経路: 非公式サイトからの ZIP・RAR ダウンロード、メール添付ファイル、改ざんサイトの Drive‑by ダウンロード
- 動作内容: ブラウザ設定変更、不正広告の挿入、バックドア設置、追加マルウェアのドロップ
- 検出名称: 「Sabsik.FL.A!ml」の末尾「!ml」は Machine Learning (機械学習) 検出を示し、コードの構造や振る舞いパターンから悪性と判定
- 誤検知率: 低いがゼロではなく、クラックツールや自作スクリプトが誤検知対象になることがある
2. 検出後まず確認すべき 5 項目
| チェックポイント | 確認方法 |
|---|---|
| 隔離の成否 | Windows セキュリティ ⇒ ウイルスと脅威の防止 ⇒ 保護の履歴 でステータスが「隔離済み」または「削除済み」になっているか |
| 残存ファイル | ごみ箱・ダウンロード・Temp フォルダーを開かず、右クリック ⇒ 空にする / Shift+Delete で完全削除 |
| メモリ常駐の有無 | タスクマネージャー ⇒ スタートアップ タブで不審なエントリが自動起動しないか確認 |
| 復元ポイント汚染 | sysdm.cpl ⇒ システムの保護 ⇒ 構成 から旧ポイント削除→新規作成 |
| ネットワーク異常 | PowerShell で Get-NetTCPConnection -State Established を実行し不審な外部 IP がないか確認 |
3. フルスキャン後も不安が残る場合の二重確認フロー
- 定義ファイルを更新
Windows セキュリティ ⇒ ウイルスと脅威の防止 ⇒ 更新プログラムの確認を実行してから再度 フルスキャン。 - Windows Defender オフラインスキャン
GUI の スキャンのオプション ⇒ Windows Defender オフラインスキャン を選択すると、再起動後にマイクロ OS 環境でスタンドアロン検査が行われ、メモリ常駐型やブート感染型も駆除可能。 - セーフモード＋サードパーティ製スキャナ
- Shift 再起動 ⇒ トラブルシューティング ⇒ 詳細オプション ⇒ スタートアップ設定 ⇒ 4 でセーフモード起動。
- インターネット接続を有効にしたら「Malwarebytes」または「ESET Online Scanner」など信頼性の高い無料ツールを実行。
- PowerShell で検出履歴を確認
Get-MpThreatDetection | Sort-Object -Property InitialDetectionTime -Descending | Select-Object -First 20直近の検出日時とアクションが「Removed」「Quarantined」になっていれば処置済み。
4. 「削除できない」エラーを解消する 4 つの手段
エラー「操作には管理者権限が必要」「アクセスが拒否されました」が出る場合は、以下の順で試してください。
- 管理者権限でエクスプローラーを再起動
タスクマネージャー ⇒ 詳細 タブ ⇒ explorer.exe の再起動後に削除。 - コマンドプロンプト強制削除
del /f /s /q "C:\Path\To\File.zip" - セーフモードで削除
通常モードでロックしている DLL が解除される。 - Unlocker など削除支援ツール
どうしても Windows ネイティブで消えない場合の最終手段。
5. 再感染を防ぐためのベストプラクティス
| リスク要因 | 具体的対策 |
|---|---|
| 不審サイト・違法コピー | 公式サイト・Microsoft Store・正規代理店からのみダウンロード。P2P ソフトや Warez サイトはブロック。 |
| ブラウザ経由の侵入 | Edge の「SmartScreen」、Chrome の「Safe Browsing」を強化保護モードで常時オン。 |
| 脆弱な OS | Windows Updateを「自動 (推奨)」に設定し、パッチ公開から 24 h 以内に適用。 |
| USB 経由の感染 | 外部メディアを差したら自動再生を無効化し、Defender の「リムーバブル ドライブのスキャン」をオン。 |
| バックアップ欠如 | OneDrive、NAS、外付け HDD に3‑2‑1 ルールで定期バックアップ。 |
6. よくある質問 (FAQ)
Q1. ごみ箱を開いただけで再検出されたのはなぜ？ Explorer がプレビュー用に ZIP 内を読み込み、展開せずともスクリプト署名をトリガーした可能性があります。ZIP を再度ごみ箱に戻さず Shift+Delete で完全削除しましょう。 Q2. Defender の「処置の開始」を押しても無反応です。 管理者でないユーザー、ポリシー制御 (企業ドメイン) による制限、または内部でスキャンタスクが競合している場合があります。
対処法: Start-Process -FilePath "windowsdefender://Threat" を PowerShell (管理者) から実行し、GUI を直接呼び出す。 Q3. フリーソフトの誤検知か確認するには？ Virustotal で複数 AV エンジンに掛け、検出が 1～2 社のみなら誤検知の可能性が高い。商用 AV 8 社以上が同一シグネチャで検出する場合は実検知を疑うべきです。 Q4. 企業 PC で同じ警告が多発しています。 組織全体で感染が広がっている恐れがあります。即座に PC を隔離 (VLAN 切替え/物理切断) し、SOC や IT 管理部門にエスカレーションしてください。
7. 復元ポイントのクリーンアップ手順
マルウェアが復元ポイントに埋め込まれるケースは稀ですが、完全性を重視するなら以下の手順で再生成してください。
- Win + R ⇒
sysdm.cpl起動。 - システムの保護 タブ ⇒ 構成 ⇒ 削除 で旧ポイントを削除。
- 作成 を選び、日付をメモして新規復元ポイントを作成。
8. ログで追跡する場合の Event Viewer フィルター
<QueryList>
<Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
<Select Path="Microsoft-Windows-Windows Defender/Operational">
*[System[(EventID=1006 or EventID=1116 or EventID=1117)]]
</Select>
</Query>
</QueryList>イベント ID「1006=スキャン開始」「1116=検出」「1117=処置完了」を抽出し、時系列で確認できます。
9. スクリプト開発者向け: 誤検知を減らすコーディングポイント
- 難読化ツールを多用しない。署名ベース検出は回避できても機械学習検知に引っ掛かりやすい。
- HTTP で外部 DL するコードはコメントアウトするか TLS 書式を必ず利用。
- PowerShell の
Invoke-ExpressionやAdd-Typeは避け、代替手段に置換。 - 配布前に ISG (Microsoft 企業向け申請窓口) で False Positive 申請を検討。
10. まとめ
- Defender が「隔離」「削除」で完了、フルスキャンがクリーンであれば基本的には安全。
- 不安な場合は オフラインスキャン → セーフモード＋他社スキャン の二段構えで確実性を高める。
- 再発防止にはダウンロード元の厳選・OS とブラウザの最新化・定期バックアップの三本柱を徹底。
- 企業環境では SOC 連携とネットワーク隔離で水平展開を阻止することが最重要。
本記事で示した手順を実行すれば、Trojan:Script/Sabsik.FL.A!ml の再検出はほぼ防げます。それでも警告が止まらない場合は専門業者への診断依頼を検討しましょう。脅威は「侵入を許した時点」で 50%、「早期に気付けたかどうか」が残り 50%。日頃のアップデートとバックアップが何よりのセキュリティ対策です。
コメント